Entrevista con David Damato y Kris McConkey
David Damato, director de seguridad de Tanium, y Kris McConkey, socio especializado en ciberseguridad de PwC Reino Unido, han desarrollado sus carreras en primera línea de la lucha contra los ciberdelincuentes en las redes de las empresas e instituciones más grandes del mundo. Dado que Tanium y PwC se han asociado para revolucionar la forma en que los equipos de seguridad y de operaciones de TI detectan y responden a las intrusiones, nos reunimos con Dave y Kris para hablar de trabajo… y de cómo su nueva colaboración cambiará las reglas del juego.
¿Por qué Tanium? ¿Qué ventajas obtienen los clientes de PwC gracias a las funcionalidades de Tanium?
Kris McConkey: Con frecuencia nos solicitan que acudamos a las instalaciones de los clientes para gestionar incidentes de seguridad, y cada vez que solicitamos datos concretos, a menudo se nos indica que nuestro cliente carece de la visibilidad necesaria o de cualquier método para acceder realmente a sus terminales y extraer elementos específicos de ellos. Cuando lo hacen, a menudo pueden pasar horas o días hasta que se recopilan las pistas digitales que nos ayudan a localizar con precisión dónde se esconden los intrusos en un entorno. Nos enfrentábamos a casos de espionaje que abarcaban varios continentes, entre otros incidentes, y, en general, nos dimos cuenta de que debíamos abandonar el concepto de contar con equipos que se desplazaran in situ para resolver cada problema. Necesitábamos algo que nos ayudara a gestionar el análisis de incidentes a gran escala, ya que trabajamos con algunas de las organizaciones más grandes del mundo. Queríamos algo que permitiera llevar a cabo investigaciones a distancia de forma mucho más amplia y realizar análisis en tiempo real de los entornos corporativos.
Por lo tanto, comenzamos a buscar soluciones en el ámbito de la detección de amenazas en los terminales. Analizamos bastantes soluciones y descubrimos que Tanium es, en realidad, la única lo suficientemente flexible como para permitirnos hacer todo lo que queríamos en un entorno: poder extraer toda la telemetría de un entorno para analizarla en otras soluciones que hemos desarrollado y observar lo que realmente ocurre en los terminales; y también enviar toda la inteligencia sobre amenazas y las firmas que generamos al parque informático y conseguir que los propios terminales realicen parte de ese análisis y esas búsquedas por nosotros.
La flexibilidad de la plataforma Tanium nos llamó la atención de inmediato. Por lo general, nos consideramos «usuarios avanzados» y somos capaces de diseñar muchas cosas a medida. Muchas de las demás soluciones resultaban demasiado cerradas para nuestro gusto.
David Damato: Tras haber prestado y dirigido servicios de consultoría durante la última década, soy consciente de que cada proyecto de consultoría es único. Por ello, los consultores deben contar con herramientas que les ofrezcan una gran flexibilidad para hacer frente a los retos específicos de cada cliente. Tanium ofrece esa flexibilidad: es compatible con una amplia gama de estándares, permite el desarrollo de contenidos personalizados y se integra con otras herramientas a través de una API bien documentada. Kris y su equipo de PwC ya están aprovechando esta flexibilidad y esta arquitectura para ofrecer soluciones a medida a sus clientes.
Comprendo los retos a los que se enfrentan PwC y sus clientes. Las organizaciones solicitan ayuda para investigar incidentes complejos y buscan formas de obtener una mejor visión de los riesgos presentes en sus entornos. La plataforma Tanium permite a los expertos de PwC acceder rápidamente a datos de los dispositivos finales que antes no estaban disponibles. Esta nueva visibilidad y la rapidez con la que se pueden obtener datos críticos proporcionan a Kris y a su equipo una ventaja competitiva frente a otras consultoras que dependen de la tecnología de terminales de la generación anterior.
¿Cómo ha observado que ha cambiado el panorama de las amenazas a lo largo de su carrera? ¿Qué le quita el sueño?
Dave: Sinceramente, el panorama de amenazas no ha cambiado de forma significativa —ese es precisamente el problema—. A pesar de que las tácticas de los atacantes siguen siendo relativamente similares a las de las intrusiones observadas hace cinco o diez años, hoy en día se registran más intrusiones que hace tres o cuatro años.
Lo más preocupante es la rapidez con la que actúan los atacantes en la actualidad. La mayoría de los atacantes saben cómo hacerse rápidamente con un punto de acceso en un entorno y desplazarse lateralmente en muy poco tiempo. Lo que ahora lleva horas, antes solía llevar días o semanas. En consecuencia, las organizaciones deben ser capaces de detectar y resolver los ataques con gran rapidez —una de las razones por las que la rapidez de Tanium y su capacidad para intervenir en un terminal resultan tan atractivas para nuestros clientes—.
Kris: Si se analiza la cronología de las intrusiones de tipo APT, se observa que, en realidad, ha sido un problema tanto para EE. UU. como para el Reino Unido desde hace ya más de 10 años, y que, durante ese tiempo, la magnitud del problema ha aumentado significativamente y ha afectado a muchos otros países. Lo que ha resultado muy interesante, y quizá sorprendente, es ver cómo cada vez son más los jugadores que se suman a este juego. En « November 2014», realizábamos un seguimiento de grupos repartidos por 12 países. Solo en los últimos 9 meses, esa lista se ha ampliado con la incorporación de 8 países más.
Resulta interesante observar cómo cada vez es mayor la parte de esta actividad que llevan a cabo los nuevos operadores que se incorporan al mercado. Hay muchos de los de siempre y siguen teniendo éxito con los viejos trucos, tal y como dice Dave, pero algunas de las técnicas más avanzadas dan bastante miedo cuando uno se da cuenta de su alcance.
¿Qué es lo que más le sorprende al trabajar en primera línea en el ámbito de las filtraciones de datos?
Kris: Bueno, uno de los aspectos más emocionantes de nuestro trabajo es la emoción de la persecución. Cuando un cliente sabe que hay un intruso en su red, pero desconoce su ubicación —quizás tras haber recibido un aviso de un organismo gubernamental—, esas primeras horas o días de investigación, en una red con la que no está familiarizado, en busca de pruebas que revelen dónde se ocultan los delincuentes y para determinar de qué actor malicioso se trata, resultan trepidantes e intensos.
Lo sorprendente es cómo reaccionan algunos de estos tipos cada vez que los encuentra. Hemos observado un cambio radical en el comportamiento de algunos autores de amenazas una vez que se han dado cuenta de que los hemos descubierto. Dave también lo habrá observado en múltiples ocasiones: casos en los que intentan averiguar cómo demonios les estamos localizando para poder tomar algún tipo de medida evasiva. Es una especie de recordatorio de que lo que estamos haciendo es el equivalente digital del combate cuerpo a cuerpo. Es, literalmente, un enfrentamiento entre personas.
Dave: Todavía me sorprende la facilidad con la que los atacantes logran infiltrarse en las redes sin ser detectados. La mayoría de las organizaciones recurren a soluciones como los antivirus o los sensores de red para detectar ataques. Creo que todos somos conscientes de que los programas antivirus no son muy eficaces. Sin embargo, también considero que las organizaciones no se dan cuenta de que los sensores de red no pueden determinar qué ha ocurrido realmente en un terminal y no están diseñados para examinar el tráfico cifrado, que puede suponer entre el 20 % y el 50 % de su tráfico de Internet.
Las organizaciones deben centrarse en los dispositivos finales. Es la fuente de toda la información que necesita. Si consigue obtener esa información con rapidez y a gran escala, podrá responder prácticamente a cualquier pregunta. ¿Cuántos equipos hay en mi red? ¿Se han actualizado? ¿Cuál es el estado de sus controles de seguridad? ¿Se observa alguna actividad sospechosa en un dispositivo final? En tal caso, ¿qué ha ocurrido y qué medidas debemos adoptar? Por eso vemos que muchas organizaciones se están dando cuenta del valor que aporta Tanium.
Orion (cofundador y director técnico de Tanium) ha declarado recientemente: «La idea de un perímetro alrededor de su red se ha desvanecido por completo». ¿Está de acuerdo?
Kris: Estoy totalmente de acuerdo. Ese es uno de los cambios más significativos que se han producido, incluso en los últimos 5 años, en lo que respecta a las organizaciones. Si observamos cómo defienden sus activos, hace 5 años existía un perímetro claramente definido. Todo estaba perfectamente protegido dentro de las cuatro paredes de una organización, y eso era lo que debían proteger para mantener a los malhechores fuera y permitir el acceso a quienes contaban con la autorización adecuada. Sin embargo, con el teletrabajo, las plantillas móviles, la política de «traiga su propio dispositivo», etc., esto supone realmente que a las organizaciones les resulte difícil tener una visibilidad completa de dónde se encuentran las cosas.
Dave: Por supuesto, hace cinco o diez años todos los activos eran propiedad de la empresa y estaban fijos, lo que facilitaba la definición de redes y perímetros. Hoy en día, disponemos de teléfonos móviles, tabletas, servicios en la nube y dispositivos de almacenamiento económicos y portátiles. Los dispositivos y los datos ya no están limitados a los confines de una red bien definida, rodeada de muros. Por eso vemos que a las organizaciones les cuesta responder a preguntas sencillas sobre el número, el tipo o la seguridad de los dispositivos de sus redes. Simplemente no lo saben porque todo está cambiando muy rápido. Sin duda, se trata de un ámbito en el que seguimos ayudando a nuestros clientes a encontrar soluciones gracias a nuestra arquitectura exclusiva.
¿Qué debe hacer el departamento de TI para mejorar su resiliencia en materia de ciberseguridad?
Dave: Ser resiliente en materia de ciberseguridad significa tener la capacidad de reaccionar ante un incidente y adaptarse rápidamente. Ante la mayoría de los incidentes, el departamento de TI se encargará de llevar a cabo una medida correctiva —una serie de acciones destinadas a eliminar rápidamente a un atacante o las vulnerabilidades de seguridad de un entorno—. Esto podría implicar la aplicación de un parche para corregir una vulnerabilidad, la protección de las cuentas de administrador locales, la modificación de los cortafuegos basados en el host o la eliminación de software malicioso. Gracias a la plataforma Tanium, estas acciones pueden agilizarse, lo que permite una respuesta más resistente ante incidentes de seguridad adversos.
De forma proactiva, el departamento de TI debería centrarse en lo que a menudo se denomina «higiene de seguridad». Esto incluye la instalación de los últimos parches, la identificación de cambios no autorizados en las configuraciones de seguridad y el seguimiento de los activos. Muchas brechas de seguridad se deben a configuraciones erróneas, activos no gestionados o sistemas sin parches; el departamento de TI puede contribuir de manera significativa a la prevención de incidentes si dispone de la visibilidad adecuada sobre estas áreas, que son fundamentales para mejorar la resiliencia en materia de seguridad. Sin duda, observamos que muchos de los departamentos de TI de nuestros clientes utilizan Tanium para abordar estas cuestiones, en colaboración con su equipo de seguridad.
Kris: En general, el ámbito de las tecnologías de la información —especialmente en lo que respecta a la seguridad— debe ser capaz de realizar unas cuantas tareas con gran eficacia. Hay muchas cosas que se pueden resolver de forma un tanto improvisada, pero hay otras que son absolutamente fundamentales. Se trata, ante todo, de la capacidad de supervisar en tiempo real lo que ocurre en su organización, la capacidad de comprender, desde una perspectiva histórica, lo que ha ocurrido en su organización —es decir, Tanium Trace— y la capacidad de adoptar medidas correctivas y hacer cumplir las normas también en tiempo real. Así pues, si identifica al autor de la amenaza concreto —por ejemplo, si este está aprovechando una vulnerabilidad en un programa específico—, podrá determinar casi en tiempo real qué programas son vulnerables a ella y, a continuación, aplicar el parche correspondiente.
Es probable que la mayoría de las organizaciones, en cada una de esas tres o cuatro áreas diferentes, tarden días o semanas en cada una de ellas. Contar con un programa como Tanium, capaz de reducir todo ese tiempo a unos pocos minutos, es algo que la mayoría de los departamentos de TI estarían deseando tener.
¿Cómo reaccionan los clientes cuando se les comunica que se ha producido una intrusión?
Kris: Algunos lo abordan como un problema técnico y consideran que, una vez que han eliminado el malware y han restablecido algunas cuentas de usuario, el asunto queda zanjado. Cada vez son más las organizaciones que abordan esta cuestión como el problema empresarial que realmente es: qué datos hemos perdido, cómo afecta eso a nuestros planes de negocio futuros, a quién debemos informar al respecto y cuáles son nuestras obligaciones legales, normativas y éticas a la hora de comunicar a las personas lo que hemos perdido, en caso de que hayamos perdido algo.
Creo que los clientes con mayor experiencia, sobre todo cuando les ayudamos a hacer frente a una intrusión reciente, se están dando cuenta de que existe una cierta diferencia entre lo que nosotros consideramos un éxito por parte del atacante y lo que el propio atacante considera un éxito. Por lo tanto, en el momento en que un atacante logra acceder a una red, en realidad aún no ha conseguido lo que buscaba. Probablemente se les encomendó la tarea de recabar unos datos concretos. Por lo tanto, existe un margen de tiempo entre el momento en que acceden y el momento en que consiguen lo que venían a buscar, durante el cual las organizaciones tienen la posibilidad de detectarlos y expulsarlos de la red. Es precisamente en ese periodo cuando la visibilidad que ofrece Tanium resulta increíblemente útil. Una vez que estos individuos logran acceder al sistema, intentan moverse por la red de la forma más discreta posible. Cuando se les priva de esa capacidad de actuar con sigilo, se pueden detectar sus movimientos con mucha mayor facilidad. Esto supone una reducción considerable del «tiempo de permanencia» de las intrusiones.
Dave: Cada cliente reacciona de forma diferente ante un incidente. Usted espera que la reacción esté planificada: que la organización cuente con un plan de relaciones con los inversores y sea capaz de reunir rápidamente a todas las partes interesadas pertinentes. Las organizaciones bien preparadas también disponen de un acceso inmediato a la información sobre terminales, redes, registros y otros datos que puedan resultar necesarios durante la investigación. Las organizaciones que no están preparadas no suelen tener un conocimiento muy profundo de su entorno, de los datos de registro ni de las partes interesadas clave. Como consecuencia, las organizaciones que no están preparadas suelen sufrir incidentes prolongados. Consideramos que Tanium ayuda a los clientes a prepararse para los incidentes gracias a una visibilidad sin igual de todos los terminales, lo que garantiza que las organizaciones no tengan que buscar respuestas una vez que se ha declarado un incidente.
¿En qué aspectos destaca Tanium frente a la competencia a la hora de proteger una empresa?
Dave: Muchos proveedores de seguridad se centran en resolver un único reto —quizá se trate de detectar malware o de aplicar parches a los sistemas—. El reto en materia de seguridad radica en que no existe una solución única. Hay una serie de tareas que deben ser realizadas por un número limitado de personas con gran capacidad intelectual y supervisadas mediante procesos bien establecidos.
A diferencia de estas soluciones puntuales, Tanium es una plataforma. It provides 15 second visibility across all endpoints, even in the largest organizations. Esta rapidez y flexibilidad permiten a las organizaciones resolver numerosos retos de seguridad, y no solo uno. La plataforma puede utilizarse para buscar distintos formatos de IOC, supervisar comportamientos anómalos, aplicar parches a los dispositivos finales, supervisar configuraciones, detectar activos no gestionados o investigar y responder ante un incidente.
La rapidez y la sencillez de la plataforma también permiten a los equipos pequeños ser más eficientes, al poder acceder más rápidamente a la información necesaria, automatizar tareas clave y dedicar menos tiempo a gestionar una arquitectura compleja, como la típica arquitectura «hub and spoke». La API disponible y la capacidad de desarrollar nuevos contenidos también permiten a las organizaciones integrar la plataforma con los procesos existentes y otras soluciones puntuales.
Ya estamos observando cómo PwC está utilizando la plataforma para diferenciarse de sus competidores. Kris y su equipo utilizan nuestras herramientas de IR y el módulo Trace para recopilar pruebas y supervisar la actividad de los atacantes con mayor rapidez de lo que era posible anteriormente. Buscar un archivo o recopilar todos los procesos en ejecución ahora solo lleva unos segundos, en lugar de días. Del mismo modo, PwC también dispone de una visibilidad inmediata de las vulnerabilidades, las configuraciones erróneas y los permisos de los usuarios, lo que le permite hacer frente rápidamente a un ataque.
Si tuviera que dar un consejo al director general de una gran multinacional en materia de ciberseguridad, ¿cuál sería?
Kris: Comprenda de qué datos depende fundamentalmente su organización, cómo circulan esos datos por la organización, qué sistemas intervienen y dónde se encuentran. En ese momento, podrá empezar a formarse una visión global de a qué podrían querer acceder los actores maliciosos en dichos sistemas o datos y de cómo es probable que lo consigan, de modo que pueda adaptar adecuadamente sus defensas y su inversión en seguridad.
Dave: Casi todos los directores generales con los que hablo están preocupados por la seguridad, pero no siempre cuentan con los conocimientos especializados necesarios para plantear a sus subordinados las preguntas adecuadas sobre el estado de la seguridad en su organización. Siempre recomiendo a los directores generales y a los miembros del consejo de administración que planteen las siguientes preguntas básicas con el fin de evaluar el estado de la seguridad en su organización:
- ¿Cuáles son los datos más importantes que conserva la organización y dónde se almacenan?
- Indique al menos tres situaciones diferentes en las que un atacante podría sustraer los datos importantes descritos anteriormente.
- ¿Qué medidas de seguridad ha implementado para evitar que los atacantes roben datos importantes en los escenarios anteriores?
- ¿Cuándo se llevó a cabo la última prueba de penetración interna? ¿Cuáles fueron los resultados de la última prueba de penetración interna realizada en la red y cómo se abordaron?
- ¿Cuándo se llevó a cabo por última vez un simulacro de respuesta ante incidentes? ¿Cuáles fueron las conclusiones y cómo se abordaron?
¿Podría darnos más detalles sobre los «Tanium Accelerators» de PwC?
Kris: En general, el programa «Tanium Accelerators» está diseñado y se ajusta en gran medida a la forma en que nosotros [PwC] utilizamos Tanium en nuestros proyectos con los clientes.
El primer acelerador es, en la práctica, una fuente de información sobre amenazas. Podemos aprovechar toda la investigación que llevamos a cabo, toda la nueva información que recabamos en nuestras intervenciones de respuesta a incidentes, y utilizarla de tal manera que Tanium pueda aprovecharla e implementarla automáticamente.
El segundo es el acceso efectivo a los contenidos que PwC ha elaborado para Tanium. Lo utilizamos principalmente para la detección de amenazas y las investigaciones. Hemos creado numerosos paquetes personalizados para Tanium que nos permiten recuperar prácticamente cualquier elemento forense al que se desee acceder durante una investigación. Además, los usuarios tienen la posibilidad de redactar contenido personalizado para responder a las solicitudes de los clientes.
La tercera permite que los equipos de búsqueda y rescate a distancia presten sus servicios en la respuesta ante incidentes. Si las organizaciones no cuentan con equipos consolidados de detección de amenazas o de respuesta ante incidentes y desean externalizar esa función, podemos integrarnos eficazmente en Tanium y analizar su entorno para identificar aquellos elementos que su tecnología de seguridad actual no detecta.
En cuarto lugar, servicios de consultoría algo más tradicionales: diseño de procesos, gestión de flujos de trabajo e integración con diferentes equipos y sistemas, ya se trate de un sistema CMDB, un sistema de gestión de vulnerabilidades o una solución de interfaz.
Por último, un aspecto en el que PwC cuenta con una capacidad realmente única en el mercado es su propio bufete de abogados. Algunos de los principales expertos mundiales en privacidad y protección de datos han utilizado este servicio: estamos capacitados para ofrecer asesoramiento jurídico a los clientes y realizar de forma eficaz evaluaciones de impacto en materia de privacidad de datos, con el fin de ayudarles a sacar el máximo partido a su licencia de Tanium. Pueden utilizar Tanium sin infringir ninguna normativa en materia de privacidad y protección vigente en sus países.
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
